Une sécurité de niveau bancaire, de bout en bout
Cette page explique, couche par couche, comment Capay Global protège chaque paiement, chaque versement et chaque donnée. Chaque contrôle décrit ici est actif en production aujourd'hui.
Dernière revue le 3 novembre 2026
La confiance en un coup d'œil
- Chiffrement TLS en transit
- Chiffrement AES-256 au repos
- HTTPS imposé avec HSTS
- PCI DSS : aucune donnée de carte sur nos systèmes
- Cadre de contrôle SOC 1 et SOC 2
- Authentification à deux facteurs
- Isolation des données par ligne
- Piste d'audit immuable
- Décaissements à double validation
- KYB, LCB-FT et filtrage sanctions
- Revue de sécurité complète, octobre 2026
La sécurité en chiffres
- 0
- numéro de carte jamais stocké sur nos systèmes
- 100%
- des tables de la base sous sécurité au niveau des lignes
- 7
- ans de conservation de l'audit en ajout seul
- 2
- approbateurs pour chaque décaissement au-dessus de votre seuil
- 300
- secondes avant l'expiration d'un lien de document
- 400
- jours de journaux d'accès de bordure conservés pour l'investigation
Comment nous le prouvons : audit, correction, test, nouvel audit
Nous ne commençons pas par un test d'intrusion. Nous auditons d'abord toute la plateforme de production, corrigeons ce que l'audit révèle, invitons une équipe indépendante à tenter de s'introduire, puis auditons à nouveau pour confirmer que les corrections tiennent.
- 01
Audit de production sur 13 couches
Une revue complète de la plateforme en production : authentification, base de données, API, flux financiers, hébergement, déploiement, supervision, reprise et plus encore. Terminé en octobre 2026.
- 02
Corriger ce que l'audit a trouvé
Les constats critiques et élevés ont été corrigés et vérifiés la nuit même. Chaque point restant a un responsable et est en cours de clôture, en commençant par ceux qui protègent l'argent et les accès.
- 03
Test d'intrusion externe
Une société de sécurité indépendante attaquera la plateforme avec notre autorisation, afin de trouver ce que nos corrections auraient manqué. Les clients peuvent demander le rapport de synthèse sous NDA.
- 04
Second audit
Nous répétons l'audit des 13 couches pour confirmer que chaque correction tient, puis nous mettons à jour le tableau de bord de cette page.
Tableau de bord de production : 13 couches
Ce qui protège chaque couche de la plateforme aujourd'hui, revu lors de notre audit de production d'octobre 2026.
- 01
Authentification et accès
Authentification à deux facteurs pour les marchands et le personnel, permissions par rôle et contrôles de connexion qui bloquent par défaut.
- 02
Base de données et isolation des données
Sécurité au niveau des lignes sur chaque table, afin qu'une entreprise ne puisse lire que ses propres données, et chaque fonction privilégiée vérifie d'abord le rôle de l'appelant.
- 03
API et webhooks
Clés API hachées, limites de débit par clé et par IP, listes d'IP autorisées, et webhooks signés et protégés contre la relecture.
- 04
Intégrité financière
Grand livre en partie double, journaux qui doivent être équilibrés, idempotence sur chaque appel financier et double validation des versements.
- 05
Chiffrement et secrets
TLS en transit, AES-256 au repos et secrets dans des tables verrouillées qu'aucune application ne peut lire et qu'aucun journal n'affiche jamais.
- 06
Hébergement et périphérie
AWS CloudFront derrière Cloudflare, stockage privé uniquement, HTTPS imposé avec HSTS et en-têtes de navigateur stricts.
- 07
Déploiement et gestion des changements
Mises en production scriptées avec contrôles de sécurité intégrés, vérifications en direct après chaque mise en production et migrations rejouables en toute sécurité.
- 08
Supervision et alertes
Contrôles de santé des prestataires, alertes de solde des portefeuilles, contrôles du grand livre, disjoncteurs et page de statut publique.
- 09
Journalisation et piste d'audit
Un journal d'audit en ajout seul conservé sept ans, un identifiant de requête sur chaque appel API et des journaux d'accès en périphérie conservés 400 jours.
- 10
Montée en charge et résilience
Limites de débit, interrupteurs d'urgence et disjoncteurs qui arrêtent un canal de paiement défaillant sans arrêter les autres.
- 11
Reprise et rapprochement
Un contrôle nocturne du grand livre, des revérifications automatiques du statut pour qu'aucun paiement ne reste en suspens, et des nouvelles tentatives sûres qui ne débitent jamais deux fois.
- 12
Réponse aux incidents
Un plan écrit de réponse aux incidents avec niveaux de gravité, rôles désignés, interrupteurs d'urgence qui arrêtent un canal en quelques secondes, et notification des clients.
- 13
Conformité et confidentialité
Contrôle KYB, AML et filtrage des sanctions avant la mise en service de toute entreprise, surveillance continue, et aucune donnée de carte sur nos systèmes.
Chaque étape d'un paiement, protégée
Suivez un paiement depuis le téléphone de votre client jusqu'à votre solde et voyez quel contrôle garde chaque étape.
- 1
Votre client paie
Sur une page de paiement ou un lien de paiement servi en TLS. Les numéros de carte n'atteignent jamais Capay Global ; les validations mobile money se font sur le téléphone du client.
- 2
Votre intégration appelle l'API
Authentifiée par une clé hachée et limitée à une application ; débit limité par clé et par IP ; chaque requête porte une clé d'idempotence et un identifiant, et les données de type carte sont rejetées à la bordure.
- 3
Le grand livre l'enregistre
Une ligne d'intention existe avant tout appel à un opérateur, et le crédit découle de cette intention, jamais du client. Chaque écriture doit être équilibrée, sinon la base de données la refuse.
- 4
L'opérateur confirme
Les rappels sont vérifiés par signature sur le corps brut, à temps constant, dédoublonnés contre le rejeu, et l'enregistrement propre de l'opérateur est relu avant toute application.
- 5
Vous décaissez
Les bénéficiaires sont filtrés, les décaissements au-dessus de votre seuil attendent un second approbateur avec une vérification à deux facteurs, les destinations sont figées après approbation, et les disjoncteurs arrêtent un rail défaillant.
- 6
Vous voyez tout
Accès au tableau de bord derrière l'authentification à deux facteurs, données isolées par entreprise grâce à la sécurité au niveau des lignes, webhooks signés vers vos systèmes, et une piste d'audit impossible à modifier.
Défense en profondeur, quatre couches
Chaque couche suppose que celle du dessus peut céder. Une requête doit franchir les quatre avant de pouvoir toucher à l'argent.
- 01Bordure
- Cloudflare et AWS CloudFront
- TLS sur chaque connexion
- HTTPS imposé avec HSTS
- Contrôle d'accès à l'origine, aucun espace public
- En-têtes de navigateur stricts
- Journaux d'accès conservés 400 jours
- 02Application
- Clés d'API hachées en SHA-256
- Limites de débit par clé et par IP
- Idempotence sur chaque appel monétaire
- Garde contre les données de carte à l'entrée
- Webhooks signés et protégés contre le rejeu
- Bac à sable isolé des opérateurs réels
- 03Données
- Sécurité au niveau des lignes sur chaque table
- Chiffrement AES-256 au repos
- Tables de secrets à accès nul
- Journal d'audit en ajout seul
- Conservation pendant sept ans
- Stockage privé des documents, liens de 300 secondes
- 04Argent
- Grand livre en partie double en unités mineures
- Écritures équilibrées imposées
- Double validation avec vérification à deux facteurs
- Interrupteurs d'urgence et disjoncteurs
- Surveillance du float sur chaque portefeuille
- Sentinelle de réconciliation nocturne
Chiffrement en transit et au repos
- TLS sur chaque connexion : navigateurs, API, webhooks et liaisons opérateurs. HTTPS est imposé sur chaque domaine Capay Global avec HTTP Strict Transport Security.
- Chiffrement AES-256 au repos pour les bases de données et le stockage objet, géré par la gestion de clés matérielle de nos fournisseurs d'infrastructure.
- Les secrets (identifiants opérateurs, secrets de webhooks, clés d'idempotence) vivent dans des tables à accès nul qu'aucun rôle applicatif ne peut lire ; ils sont masqués dans chaque journal et chaque ligne d'audit.
- Les documents de vérification sont stockés dans un espace privé, limité au dossier de l'entreprise, et ouverts uniquement par des liens signés de 300 secondes.
PCI DSS : une plateforme sans donnée de porteur de carte
- Nous ne recevons, ne stockons, ne traitons ni ne transmettons jamais un numéro de carte ou un CVV. Le garde d'entrée rejette les données de type carte dans chaque corps d'API et un déclencheur en base les refuse sur les encaissements, décaissements et remboursements.
- Les paiements par carte, lorsqu'ils sont proposés, s'exécutent sur des pages hébergées dans le périmètre PCI DSS de nos partenaires ; Capay Global ne manipule que des références masquées.
- Les cartes virtuelles sont émises par un partenaire agréé ; le numéro complet n'est jamais stocké sur nos systèmes.
Intégrité des fonds
- Grand livre en partie double en unités mineures : chaque mouvement est une écriture équilibrée à référence unique, et un déclencheur en base rejette toute écriture déséquilibrée.
- Idempotence sur chaque appel monétaire : réservation préalable, références d'écriture uniques et même clé transmise à l'opérateur, pour qu'une relance ne puisse jamais débiter ou payer deux fois.
- Approbations à double validation sur les décaissements, les ajustements et le change, avec une vérification à deux facteurs pour l'approbateur.
- Interrupteurs d'urgence à chaque point d'entrée, disjoncteurs sur les échecs de décaissement, surveillance du float sur chaque portefeuille et une sentinelle nocturne qui réconcilie les livres.
- Le bac à sable est physiquement incapable d'atteindre un opérateur réel.
Identités et accès
- Authentification à deux facteurs (TOTP) pour les marchands et le personnel ; les portes se ferment en cas de doute, jamais l'inverse.
- Sécurité au niveau des lignes sur chaque table : une entreprise ne peut lire que ses propres lignes, imposé par la base de données et non par le code applicatif.
- Permissions par rôle pour votre équipe (propriétaire, finance, développeur, support) et pour la nôtre ; chaque action privilégiée vérifie d'abord la permission.
- Politique de mots de passe avec contrôle des mots de passe compromis, codes à usage unique de courte durée, connexion à débit limité, et sessions qui se terminent à la déconnexion avec vidage des caches.
- Invitations, changements de rôle et désactivations d'administrateurs sont audités et prennent effet immédiatement.
Sécurité de l'API et des webhooks
- Clés d'API hachées en SHA-256 ; seul un préfixe est conservé et la clé n'est affichée qu'une fois, à la création.
- Limites de débit par clé et par IP, listes d'IP autorisées en option, plafonds de dépense quotidiens, restrictions par pays et par méthode, et rotation en un clic.
- La capacité de mouvoir de l'argent réel sur les clés d'agent est armée séparément et uniquement derrière l'authentification à deux facteurs.
- Les webhooks sortants sont signés HMAC avec horodatage et protection contre le rejeu ; les rappels entrants des opérateurs sont vérifiés sur le corps brut à temps constant, et la vérité de l'opérateur est relue avant tout changement d'état.
Programme de conformité
- KYB avant la mise en production : documents d'immatriculation, bénéficiaires effectifs, filtrage sanctions et approbation à deux personnes.
- Surveillance LCB-FT continue avec des circuits de résolution clairs, revue KYB périodique et notation de risque par entreprise.
- Enregistrements financiers et journaux d'audit conservés sept ans dans des tables en ajout seul qui bloquent modifications et suppressions au niveau de la base de données.
- Contrôles alignés sur les critères SOC 1 et SOC 2 (sécurité, disponibilité, confidentialité, intégrité des traitements) et sur la posture PCI DSS « aucune donnée de porteur de carte ».
- Une revue de sécurité complète de la plateforme en production (base de données, authentification, diffusion web, API, flux monétaires, navigateur) a été menée en octobre 2026 ; chaque constat a été corrigé ou attribué à un responsable.
Infrastructure et exploitation
- Sites et applications servis par AWS CloudFront derrière Cloudflare, avec contrôle d'accès à l'origine et chaque espace de stockage privé.
- En-têtes de navigateur stricts : encadrement interdit, Content-Security-Policy frame-ancestors none, Permissions-Policy et isolation cross-origin.
- Journaux d'accès de bordure conservés 400 jours à des fins d'investigation ; identifiant de requête, IP et agent utilisateur sur chaque appel d'API.
- Audit des dépendances à chaque build, page de statut publique, sondes de santé sur chaque opérateur et alertes d'incident vers l'équipe d'exploitation.
Où se trouvent vos données
Des réponses claires aux questions de localisation posées dans chaque revue de sécurité.
Base de données et documents de la plateforme
Hébergés sur Amazon Web Services via notre fournisseur de base de données, et chiffrés au repos en AES-256.
Sites web, tableau de bord et page de paiement
Servis dans le monde entier depuis le réseau périphérique Amazon CloudFront derrière Cloudflare, pour que les pages se chargent au plus près de vos clients. Aucune donnée client n'est stockée en périphérie.
Partenaires de paiement
Les informations nécessaires pour finaliser un paiement sont partagées uniquement avec les partenaires agréés de mobile money, bancaires et de cartes qui le traitent.
Accès par notre équipe
Seul le personnel autorisé peut ouvrir les dossiers clients, via des permissions par rôle, et chaque action privilégiée est inscrite dans un journal d'audit non modifiable.
En cas de problème
Comment nous gérons un incident de sécurité, de la première alerte à la revue finale.
- 01
Détecter
Des alertes automatiques sur les défaillances des prestataires, le solde des portefeuilles, les écarts de grand livre et les activités inhabituelles parviennent à notre équipe des opérations.
- 02
Contenir
Les interrupteurs d'urgence et les disjoncteurs arrêtent un canal de paiement touché en quelques secondes, et les clés ou sessions exposées peuvent être révoquées immédiatement.
- 03
Notifier
Les clients concernés apprennent ce qui s'est passé, ce que cela signifie pour eux et ce que nous faisons, sans retard injustifié et dans le délai imposé par la loi.
- 04
Apprendre
Chaque incident grave se conclut par une revue écrite et les corrections qui empêchent qu'il se reproduise.
Notre plan écrit de réponse aux incidents fixe les niveaux de gravité, les rôles, les délais de réponse et la notification des clients. Les partenaires et les clients entreprises peuvent en demander une copie sous NDA.
Ce que nous attendons de vous
La sécurité se partage. Trois habitudes gardent votre compte aussi solide que la plateforme qui le porte.
- 1Activez l'authentification à deux facteurs pour chaque membre de l'équipe, à commencer par les propriétaires et la finance.
- 2Conservez les clés d'API dans un gestionnaire de secrets, jamais dans le code, et faites-les tourner quand l'équipe change.
- 3Définissez un seuil d'approbation des décaissements et une liste d'IP autorisées sur vos clés de production.
Politiques et documents
Les documents derrière les contrôles, publiés et tenus à jour.
Vos questions de sécurité, nos réponses
Mes données sont-elles chiffrées ?
Oui. Chaque connexion à Capay Global utilise TLS, et les données sont chiffrées au repos en AES-256. Les secrets sont stockés dans des tables verrouillées et n'apparaissent jamais dans les journaux.
Stockez-vous des numéros de carte ?
Non. Capay Global ne reçoit, ne stocke, ne traite ni ne transmet jamais un numéro de carte ou un CVV. Les données de carte sont rejetées à la bordure de l'API et dans la base de données, et les paiements par carte ne s'exécutent que sur des pages hébergées dans le périmètre PCI DSS de nos partenaires.
Êtes-vous conformes SOC 2 et PCI DSS ?
Notre cadre de contrôle est aligné sur les critères SOC 1 et SOC 2, et la plateforme opère dans la posture PCI DSS « aucune donnée de porteur de carte ». Les partenaires et clients entreprise peuvent demander la présentation de sécurité, la matrice de contrôles et les attestations de nos fournisseurs.
Quelqu'un chez Capay Global peut-il déplacer mon argent ?
Aucune personne seule ne le peut. Les décaissements au-dessus de votre seuil exigent un second approbateur de votre côté, les actions privilégiées de notre côté exigent une permission et un motif écrit et laissent une entrée d'audit impossible à modifier, et le grand livre refuse tout mouvement déséquilibré.
Comment signaler une vulnérabilité ?
Écrivez à notre équipe support avec les détails ; chaque signalement est pris en compte et traité rapidement. Nous demandons une divulgation responsable et ne poursuivons jamais les chercheurs de bonne foi.
Avez-vous réalisé un test d'intrusion ?
Nous suivons un ordre strict : d'abord un audit complet de la production (terminé en octobre 2026), puis les corrections, puis un test d'intrusion indépendant, puis un second audit pour confirmer que les corrections tiennent. Les partenaires et les clients entreprises peuvent demander la synthèse de notre audit et, une fois publiée, la synthèse du test d'intrusion sous NDA.
Où sont stockées mes données ?
La base de données et les documents de la plateforme sont hébergés sur Amazon Web Services, chiffrés au repos en AES-256. Les sites web et les pages de paiement sont servis depuis un réseau périphérique mondial qui ne stocke aucune donnée client.
Divulgation responsable
Les chercheurs en sécurité sont les bienvenus. Si vous pensez avoir trouvé une vulnérabilité chez Capay Global, signalez-la en privé et laissez-nous un délai raisonnable pour la corriger. Nous accusons réception de chaque signalement et ne poursuivons jamais la recherche de bonne foi.
- 1Envoyez les détails à notre équipe : ce que vous avez trouvé, où, et comment le reproduire.
- 2Nous confirmons la réception et vous tenons informé jusqu'à la correction.
- 3Laissez-nous un délai raisonnable pour corriger avant toute divulgation publique.
Vous nous envoyez un questionnaire de sécurité ?
Envoyez-le avant votre contrat, pas après. Nous y répondons avec cette page et le tableau de bord et, sous NDA, notre présentation détaillée de la sécurité, la matrice des contrôles et les attestations de nos prestataires.
Commencez à encaisser en Afrique dès aujourd'hui
Créez un compte gratuit, développez sur la sandbox et passez en production après vérification.
Parlez-nous de vos corridors et de vos volumes à tout moment.